http-access
Globalкритичнонужен перезапускХаб задаёт сам
Строка задаёт, каким адресам открыт монитор и что им там позволено. Уровней четыре: none — никого; monitor — только чтение; operator — плюс просмотр конфигурации и выполнение команд; admin — плюс правка конфигурации. К monitor можно добавить deny-logs и закрыть доступ к журналам.
Монитор — это консоль управления, а не панель просмотра. С него правят конфигурацию, выполняют команды, удаляют письма из очереди. Доступ уровня admin равен доступу к узлу.
Строка повторяется и разбирается сверху вниз — совпал первый подходящий. Значит, широкая строка выше узкой перекрывает её: http-access 0/0 monitor в начале файла делает всё, что ниже, бессмысленным.
По умолчанию закрыт всем. Монитор слушает порт и отвечает 403, пока адрес не разрешён здесь. Руководство отдельно предупреждает: в интернет управляющий интерфейс выставлять не следует.
Причина в коде записана: адрес Хаба — часто общий выход в сеть, и уровень admin на нём достался бы каждой машине за тем же выходом. Если адрес Хаба неизвестен, вместо строки пишется комментарий, и доступ остаётся только локальным.
Уровень выбирают по тому, что именно нужно тому, кого пускаете:
| Уровень | Что даёт |
|---|---|
| none | ничего; явный запрет выше по списку |
| monitor | чтение состояния и очередей |
| monitor,deny-logs | то же без доступа к журналам |
| operator | плюс чтение конфигурации и команды |
| admin | плюс правка конфигурации |
Порядок строк значим: узкие выше широких.
# узкие строки выше широких: разбор идёт сверху вниз http-mgmt-port 1000 http-access 127.0.0.1 admin http-access 10.0.0.5 monitorhttp-access 0/0 none
▲
Типичные ошибки и проблемы
что делают не так и чем это кончается3 ошибки▶
Ставят широкую строку выше узкой
§ 3.3.1.58.3
Закрывают монитор по адресам и раздают ключ
§ 8.2
Дают уровень admin общему выходу в сеть
наш опыт
- Синтаксис
- http-access CIDR { monitor[,deny-logs] | operator | admin | none }
- Значения
- CIDR и один из уровней none, monitor[,deny-logs], operator, admin
- Умолчание
- none § 3.3.1.58.3
- Применение
- нужен перезапуск сервиса
- Очередь
- уже поставленное в очередь не затронет
- Где писать
- Global
- Сколько раз
- можно повторять
Связанные директивы
3 связи
http-mgmt-portGlobalПорт открывает дверь, список решает, кого через неё пускать. § 3.3.1.58.3http-redirect-to-httpsGlobalОдно решает, кого пускать, другое — по шифру ли он придёт. inferencehttp-mgmt-sourceGlobalПришла ей на смену и, в отличие от неё, различает уровни доступа. § 3.3.1.58.7no-http-mgmt-sourceGlobalПришла ей на смену: запрет теперь пишется той же строкой с уровнем none. § 3.3.1.58.7http-enable-api-configGlobalЧитать созданное можно по уровню доступа, а менять — только по ключу. inferencelog-fileGlobalОтказы монитора по адресу пишутся в журнал этого же семейства — только в свой файл, pmtahttp.log. § 3.3.1.58.3
curl -s -o /dev/null -w '%{http_code}\n' http://NODE:1000/status
Что ещё почитать
3 статьи
◇Аналитика вендора — и что уходит с узла ради неёПлатная служба, принимающая данные учёта узла и возвращающая аналитику, оценку здоровья и отчёт по спам-ловушкам; включается по областям и выключена, пока нет её блока.◇Отдача показателей по SNMPУзел умеет отдавать свои показатели по SNMP — второй способ наблюдения помимо веб-монитора.◇Что узел рассказывает о себе и по каким каналамСемь поверхностей наблюдения: веб-монитор, консоль в четырёх форматах, журнал, учёт, поиск по учёту, метрики и выгрузка во внешнюю аналитику.
- Управляется
- Инфраструктура → Параметры узла
- Значение
- Хаб подбирает сам — темп, стадия прогрева, метрики
- Цена ошибки
- опасно: последствия переживут откат
- Сценарии
- Безопасность узла · Собрать телеметрию
- Важность
- критично